Wir erhalten eine Erinnerungs-E-Mail von einer Website, die wir nicht erkennen, klicken ohne nachzudenken, und drei Tage später ist ein Bankkonto kompromittiert. Dieses Szenario, banal im Jahr 2026, verdeutlicht, wie sehr der Schutz personenbezogener Daten nicht mehr nur in den Datenschutzeinstellungen eines Browsers stattfindet. Die DSGVO regelt nach wie vor die Erhebung und Verarbeitung von Informationen durch Unternehmen, aber die Bedrohungen auf der Nutzerseite haben sich verändert.
Infostealer und fortgeschrittenes Phishing: die echten Risiken für Ihre Daten im Jahr 2026
Die Wettbewerber erläutern ausführlich die Funktionsweise der DSGVO oder die Verpflichtungen der Unternehmen. Wir beginnen am anderen Ende: Was konkret einen Internetnutzer bedroht, wenn er morgens seinen Computer öffnet.
Der Bericht der ENISA über die Bedrohungslandschaft 2026, veröffentlicht am 15. September 2026, identifiziert Phishing als die Haupttechnik der sozialen Manipulation, die in den im Jahr 2025 analysierten Vorfällen beobachtet wurde. Die Phishing-Kits „as-a-service“ haben sich vervielfacht, was es Angreifern ohne technische Fähigkeiten ermöglicht, innerhalb weniger Stunden glaubwürdige Kampagnen zu starten.
Die andere aufkommende Bedrohung sind die Infostealer. Diese Malware beschränkt sich nicht mehr darauf, ein Passwort zu stehlen. Laut demselben ENISA-Bericht extrahieren sie nun Identifikatoren, Browsing-Daten, Multi-Faktor-Authentifizierungstoken (MFA) und Sitzungscookies. Konkret bedeutet das, selbst mit einem starken Passwort und aktivierter Zwei-Faktor-Authentifizierung kann ein infiziertes Gerät alle Ihre Konten kompromittieren.
Wir haben eine ergänzende Datei über personenbezogene Daten auf dubraz.com über Blognet News veröffentlicht, die die Verpflichtungen der Websites in Bezug auf Erhebung und Zustimmung detailliert.
Was sich im Alltag ändert: Die Aktualisierung des Betriebssystems und der Anwendungen ist kein allgemeiner Rat, sondern die erste Verteidigungslinie gegen Infostealer. Die Verwendung eines Passwortmanagers verringert ebenfalls die Exposition, da man seine Identifikatoren nicht mehr in ein potenziell gefährdetes Formular eingibt.
Kontrollen der CNIL im Jahr 2026: Rekrutierung, Algorithmen und was das für die Nutzer bedeutet
Die CNIL wird oft als weit entfernter Aufseher beschrieben, der große Plattformen bestraft. Im Jahr 2026 betreffen ihre vorrangigen Kontrollthemen Sektoren, die direkt das tägliche Leben der Bürger betreffen.
Zu den in diesem Jahr festgelegten Schwerpunkten gehören insbesondere die Rekrutierung und das einheitliche Wählerverzeichnis. Praktisch bedeutet das, dass die CNIL überprüft, wie Arbeitgeber die Daten der Bewerber erheben und speichern und wie die Wählerverzeichnisse algorithmisch verwaltet werden.
Für einen Internetnutzer, der sich online bewirbt, hat dies direkte Konsequenzen: Man kann einen Recruiter fragen, welche Daten er speichert, auf welcher rechtlichen Grundlage und wie lange. Das Recht auf Zugang und das Recht auf Löschung, die durch die DSGVO vorgesehen sind, gelten auch für Lebensläufe, die vor drei Jahren auf einer Rekrutierungsplattform eingereicht wurden.
Sein Zugangsrecht ausüben, ohne auf eine Datenpanne zu warten
Die meisten Internetnutzer entdecken ihre Rechte nach einem Vorfall. Man kann auch proaktiv handeln. Jedes Unternehmen, das personenbezogene Daten verarbeitet, muss innerhalb eines durch die DSGVO festgelegten Zeitrahmens auf eine Zugangsanforderung reagieren.
Einige Situationen, in denen dieser Schritt konkrete Auswirkungen hat:
- Überprüfen, welche Informationen ein ehemaliger Arbeitgeber oder eine Zeitarbeitsagentur noch in ihren Akten speichert, mehrere Jahre nach dem Ende eines Vertrags.
- Von einer E-Commerce-Website die vollständige Liste der mit Ihrem Konto verbundenen Daten anfordern, einschließlich des Browserverlaufs und der Werbepräferenzen.
- Die Löschung von Daten auf einer Kleinanzeigenplattform verlangen, auf der Sie seit langem nicht mehr aktiv sind.
Wenn das Unternehmen nicht antwortet oder ohne triftigen Grund ablehnt, kann die CNIL direkt über ihr Online-Beschwerdeformular eingeschaltet werden.
Zustimmung zu Cookies und Trackern: Was sich tatsächlich geändert hat
Wir klicken reflexartig auf „Alle akzeptieren“. Das Problem ist, dass diese Geste oft Dutzende von Werbetrackern autorisiert, Daten über das Browsing, den Standort und das Kaufprofil zu sammeln.
Die Datenschutzerklärung einer Website muss den Zweck jeder Verarbeitung und die verwendete rechtliche Grundlage (Zustimmung, berechtigtes Interesse, Vertragserfüllung) detailliert darlegen. In der Praxis variieren die Rückmeldungen zu diesem Punkt: Einige Websites zeigen konforme Banner an, verweisen jedoch auf Datenschutzerklärungen, die in schwer verständlichem Fachjargon verfasst sind.
Das Ablehnen unwichtiger Cookies sollte niemals komplizierter sein als das Akzeptieren. Das ist ein Prinzip, das die CNIL regelmäßig betont. Wenn eine Website mehr Klicks zum Ablehnen als zum Akzeptieren erfordert, könnte sie potenziell gegen die Vorschriften verstoßen.
Drei Reflexe zur Begrenzung des Trackings im Alltag
- Den Browser so konfigurieren, dass Cookies beim Schließen automatisch gelöscht werden, was die meisten persistierenden Tracker neutralisiert, ohne das aktuelle Browsen zu blockieren.
- Die offenen Sitzungen auf sensiblen Diensten (Bank, Messaging, Gesundheit) nach jeder Nutzung zu trennen, insbesondere auf einem gemeinsam genutzten Gerät. Das ist die direkteste Abwehr gegen den Diebstahl von Sitzungscookies durch einen Infostealer.
- Unterschiedliche E-Mail-Adressen für kritische Dienste und Anmeldungen zu Newslettern oder Aktionen verwenden, um die Risiken im Falle eines Datenlecks zu compartmentalize.
Multi-Faktor-Authentifizierung: nützlicher Schutz, aber nicht narrensicher
Überall wird empfohlen, die Zwei-Faktor-Authentifizierung zu aktivieren, und das ist ein guter Reflex. Die Multi-Faktor-Authentifizierung blockiert die überwiegende Mehrheit der Versuche, unbefugten Zugriff durch gestohlene Passwörter zu erlangen.
Der Bericht der ENISA 2026 bringt eine technische Nuance: Die sogenannten Adversary-in-the-Middle-Angriffe sind in der Lage, Sitzungstoken in Echtzeit abzufangen und so den MFA-Schutz zu umgehen. Diese Art von Angriff bleibt anspruchsvoller als klassisches Phishing, wird jedoch durch dieselben „as-a-service“-Kits demokratisiert.
Die MFA bleibt notwendig, ersetzt jedoch nicht die Wachsamkeit gegenüber Links, die per E-Mail oder SMS empfangen werden. Ein Phishing-Link, der auf einen bösartigen Proxy umleitet, kann das MFA-Token genau in dem Moment erfassen, in dem der Benutzer sich legitim authentifiziert.
Die beste Ergänzung zur Zwei-Faktor-Authentifizierung bleibt die Kombination aus einem Passwortmanager (der sich weigert, ein Formular auf einer unbekannten Domain auszufüllen) und einem aktualisierten Betriebssystem (das die Installation von Infostealern einschränkt). Keine isolierte Maßnahme reicht aus: Es ist das Stapeln von Schutzschichten, das das Risiko einer Kompromittierung Ihrer personenbezogenen Daten tatsächlich verringert.
